既存の複数認証基盤を統合した
UPKI-SSO・eduroam対応認証基盤の構築

山形大学 学術情報基盤センター
伊藤智博、吉田浩司 、鈴木勝人 、青木和恵

実施内容• 山形大学の認証情報の調査• 統合認証基盤の全体設計• Shibboleth IdPの構築• eduraom用radius プロキシの構築と電子ジャーナルに関するライセンス問題検討山形大学の認証状況
・独立したアカウントによる認証
学務情報システム（シラバス、成績管理）、会計システム、研究者情報、etc・ディレクトリーサービスによる認証
学術情報基盤センター（Active Directory)
教育用パソコン、教育用UNIX実習システム、無線ＬＡＮ、ＶＰＮ、ＬＡＮ、ALC NetAcademy2、メールシステム、
Google Apps（ID, Password 同期を含む），LMS（WebClass），自動講義収録システム,etc
学部独自のコンピュータシステムなど
・磁気カード・バーコードを使った認証
駐車場、入退室管理、学生用証明書発行機、etc

学術情報基盤センターの認証システム
山形大学の学術情報基盤センターでは、教育・研究用認証基盤として、Microsoft® Active Directory ®(AD)を使用している。ドメイン構成としては、「運用ドメイン」、「試験運用ドメイン」の２つのドメインがある。 「試験運用ドメイン」は、工学部の学生・教職員の約4000人アカウントが登録されており、 「運用ドメイン」には、工学以外の学生・教職員・事務組織などの約10000人のアカウントが登録されている。
複数ドメインを構成している理由としては、・ 運用ポリシーが異なること。
・将来、セキュリティポリシーの変更により円滑にドメインの追加・拡張ができ、かつ、統合認証を構築できるようにする複数ドメインによる統合認証システムの運用実験を行うこと（例えば、事務系情報のセキュリティ強化に伴うドメインの追加などを容易に可能にする）。の２点である。

既存の２ドメインの認証基盤を統合し、Shibboleth対応することにより利用者への負担が少なく、ＵＰＫＩプロジェクトへの参加が可能になる。

統合認証基盤の全体設計
山形大学-認証基盤

外部公開用 統合認証基盤

山形大学内への教育・研究リソースへの統合認証を提供

認証基盤 研究プロジェクト

統合認証の研究を行うためのプロジェクトであり、UPKI認証連携基盤(UPKI-Fed)・Shibboleth SPのアプリケーション
およびデータベース設計
・Shibboleth Metadataの管理システムの構築

国際無線LANローミング基盤を中心に研究している。
IdP
学内統合認証用
LDAPプロキシ

外部機関統合認証用
LDAPプロキシ

外部機関統合認証用
Radiusプロキシ

双方向信頼関係

試験運用ドメイン

運用ドメイン
学内ネットワーク認証や教育用コンテンツへの展開

片方向信頼関係

学術情報基盤センター
教育・研究用認証情報管理システム

研究用ドメイン

研究用認証管理システム

WEB
SP実証実験

SQL
教育用パソコン

ＵＮＩＸサーバ

教育用パソコン

研究用サーバ統合認証基盤のIdP・Radiusサーバの設計
UPKI-SSO実証実験

eduroam実証実験

山形大学IdP・Radius サーバ（同一サーバ内に構築）

IdP

Radiusプロキシ

LDAPプロキシ
Local
LDAP

MS-ＩＡＳ

MS-AD

運用ドメイン

MS-ＩＡＳ

MS-AD

試験用ドメインMS-ＩＡＳ

MS-AD

研究用ドメイン外部機関用統合認証基盤システムのハードウェア構成• ハードウェアの構成
HP Proliant ML110；メモリ 512MB; HDD 20GB *2 (RAID 1); OS CentOS 5.2• ソフトウェアの構成
共通ソフトウェアOpenLDAP 2.3.43, Apache 2.2.9, Apache Tomcat 6.0.18, JDK 6 Update 10,Apache Ant 1.7.1, BerkeleyDB 4.3, OpenSSL 0.9.8i
UPKI-SSO関係
Shibboleth® IdP 2.0.0, Shibboleth® DS 1.0 (学内テスト用)
eduroam関係
freeradius-server 2.1.1

Shibboleth IdPの構築手順
1. 「IdP構築・運用手順書ver1.2」に従って作業( VMイメージは使用しない)。
2. UPKI「サーバ証明書発行・導入における啓発・評価プロジェクト」よりサーバ証明書を取得。
3. IdPサーバ上のLDAPデータベース上に、テストアカウントの発行（ローカルアカウント）。
4. 「研究用ドメイン」のドメインコントローラーとLDAPプロキシの接続。
接続は、ユーザバインドで行い、rwm-mapを利用して、ADスキーマとedupersonスキーマにマッピング。
5. Shibboleth IdPのlogin.configとattribute-resolver.xmlに、ADに対応するように設定(紹介の設定が必要。詳細は別紙参照のこと)。
6. 動作確認として、ローカルアカウントと「研究用ドメイン」のアカウントで動作検証。
7. 「試験運用ドメイン」、「運用ドメイン」のADとも同様に接続。
8. 動作確認として、 「試験運用ドメイン」、「運用ドメイン」のアカウントで動作検証。

IdPをADに対応する設定例
login.configとattribute-resolver.xmlを下記に示すような紹介設定を追加することにADの認証情報で正常に認証・属性の取得ができた。
例）login.config
edu.vt.middleware.ldap.jaas.LdapLoginModule sufficienthost="localhost"base="dc=xxxxx,dc=yamagata-u,dc=ac,dc=jp"
ssl="false"
userField="eduPersonPrincipalName"
subtreeSearch="true"
serviceUser="cn=xxxx,CN=Users,dc=xxxx,dc=yamagata-u,dc=ac,dc=jp"
serviceCredential="xxxxx"
referral=“follow”← 重要例）attribute-resolver.xml<resolver:DataConnector id="myLDAP2" xsi:type="LDAPDirectory" xmlns="urn:mace:shibboleth:2.0:resolver:dc“
ldapURL="ldap://localhost" baseDN="dc=xxxx,dc=yamagata-u,dc=ac,dc=JP“principal="cn=xxxxx,CN=Users,dc=xxxx,dc=yamagata-u,dc=ac,dc=jp“ principalCredential="xxxxx"><FilterTemplate><![CDATA[(eduPersonPrincipalName=$requestContext.principalName)]]></FilterTemplate><LDAPProperty name=“java.naming.referral” value=“follow”/>← 重要</resolver:DataConnector>

山形大学のIdPのまとめ
1. ユーザＩＤのフォーマットは、複数ドメインに多対応するため、eduroamフォーマットである「xxx@yyy.yamagata-u.ac.jp」とする（暫定）。
2. ADスキーマとedupersonスキーマの変換テーブ
ルを検討する必要がある。または、ADのスキーマを拡張して、edupersonスキーマに対応する必要がある。
3. LDAPプロキシ経由でAD認証基盤を利用するときは、リフェラルの設定が必要である。

山形大学のeduroamシステムの仕様
1.

認証トークンは、新規に構築するRadius プロキシを経由して、ADのIASで認証する。
2. PEAP およびTTLSのSSLセッションはRadius プロキシで完結。(SSL証明書の管理コストの削減のため）
3. 無線ＡＰは、
ESSID: eduroam
暗号： WPA-AES または WPA2-AES
認証： EAP-PEAP または EAP-TTLS、MS-CHAPv2とする。
4. IPv6の無線ＬＡＮ運用試験系。
→ 802.11x認証なので、Weｂ認証などが不要。
5. eduroam接続時の学外接続回線は、商用ISPを経由することにより、外部機関利用者の山形大学の契約電子ジャーナルなどの利用不可とし、かつ、外部機関利用者の利便性を確保する。山形大学の利用者は、eduroam専用
VPN接続で電子ジャーナルを閲覧可能にする。
6. VPNオンリーの参加機関でのネットワーク利用を可能にするため、電子ジャーナルのＶＰＮ経由による利用に関する情報を出版社に調査し、解決策を検討。

eduroam無線ＬＡＮシステムの概要
IPv6
ネットワーク※（試験研究用）JP
Radius
Proxy

FW

商用ＩＳＰ

商用ＩＳＰ
山形大学
学術ネットワークFW(IPv6用)FW(IPv4)

VPN
サーバ

GW

GW

RadiusProxy
管理ＶＬＡＮ

VPNオンリーのeduroam参加機関でネットワークを利用するために、ＰＣからのＶＰＮ接続を可能にする。

山形大学構内でeduroamを利用しているときに、山形大学の内部リソースを利用するために、ＰＣからのVPN接続を可能にする。

eduroam VLAN (10.25.x.x/16）

ＡＰ

ＡＰ

ＡＰ

Buffalo WAPSHP-AM54G54
802.1x

ProximＡＰ−４０００802.1x

ProximＡＰ−４０００802.1x※IPv6ネットワークは、JGN2plusおよびWIDEプロジェクトの協力により、実験として実証試験を行っております。

VPNオンリーのeduroam機関において無線LANを利用したときのサービス展開
VPNオンリーのeduroam機関では、外部のWeb閲覧すらできないために、外部から大学へのＶＰＮ接続を許可し、かつ、全ての通信を所属大学のVPNサーバを経由する構成になる1)。しかし、電子ジャーナルなどの契約コンテンツを利用するにあたり、VPNサービスによる利用が許可されていないこと（契約書には明記されていないこと）が多く、VPN接続の許可が困難になる。
そこで、この問題を解決するために、次の２つの課題を行い、解決の糸口を導き出した。
１．コンテンツ提供会社に、VPN経由時の閲覧の可否を確認。
２．VPN経由時に利用可能コンテンツと利用不可能コンテンツを分離するためのシステムの構築。

1. eduroamの構築と参加方法, 後藤英昭, グリッド・UPKI活用のためのCSI講演会(古牧温泉), 2007/10/12, http://www.eduroam.jp/docs/grid-upki-071012.pdf

電子ジャーナルなどのVPN経由時の利用調査• サイエンス・ダイレクト、ＣＳＤＬ、SpringerLink、Oxford Journal、JSTOR、Web of Science、ACM Portal、Science Online、InterScienceのコンテンツ提供サービス会社に、「ＶＰＮ経由での利用の可否」および「契約の変更の有無」を調査した。
• 回答結果をまとめると、 「契約の変更の有無」については、必要な会社はなかった。 「ＶＰＮ経由での利用の可否」については、正規ユーザに限定することなどのセキュリティの確保についての注意はあったが、VPN経由による利用不可といった回答はなかった。

注意：調査したコンテンツ提供サービス会社は、各大学の契約によって回答が異なることがありますので、注意してください。

電子ジャーナル対応VPNサービス
電子ジャーナルＡ
電子ジャーナルＡ
電子ジャーナルサイトA（許可）ＰＣ
VPNオンリーのeduroam無線ＬＡＮ

インターネット
電子ジャーナル
サイトB（許可）

電子ジャーナルサイトC（不許可）
分離用ルータ
VPN接続

商用ＩＳＰ

VPN
サーバ

ＧＷ：山形大学

山形大学
学術ネットワーク

分離用ルータの経路情報

FW(IPv4) ＧＷ：商用ルータ

宛先
山形大学
学術情報ネットワーク
電子ジャーナルサイトA

ゲートウェイ
山形大学

メトリック
1

山形大学

1

電子ジャーナルサイトB

山形大学

1

デファルト

商用ルータ

10

分離用ルータに、利用可能な電子ジャーナルの経路を追加することによって、特定の電子ジャーナルのみ、閲覧を可能にできる。問題点としては、電子ジャーナルサイトのＩＰアドレスが変更なると、経路情報も変更が必要になり、管理コストが大きい。
→ Shibboleth認証などを活用したユーザ認証コンテンツサービスへの移行が必要であろう。

eduroamシステムのまとめ• Radiusプロキシによって、複数ADの認証情報によって802.1x認証を行い、eduroamが利用できる無線ＬＡＮ環境を整備可能になった。
• 山形大学のeduroam無線ＬＡＮの利用者は、山形大学契約の電子ジャーナルは利用できない。山形大学の利用者は、ＶＰＮを経由することにより、電子ジャーナルを閲覧できるシステムを構築した。
• 電子ジャーナルについては、セキュリティの確保などの利用条件はあるが、VPN経由による電子ジャーナルの利用は許可されている。今後、実験的にVPN経由による電子ジャーナルの利用を検討し、eduroamの展開を進める。
• 電子ジャーナルは、IP認証には限界がある。Shibboleth認証による電子ジャーナルの閲覧サービスを活用することが必要であろう。

山形大学のまとめ
1. 既存の認証基盤であるＡＤを利用したShibboleth IdPシステムを構築。 ADを利用するときは、リフェラルの設定が必要な可能性が高い。
2. 複数認証基盤（ＡＤ）を統合して、IdPおよびeduroam用認証基盤として利用可能なシステムを構築。
3. 暫定的ではあるが、ユーザ名のフォーマットは、eduroamフォーマットを採用。（eduroamとの混乱を避けるため）
4. VPNオンリーのeduroam参加機関利用時に、VPNサービスを展開するための情報収集および技術要素が完了した。
5. ADスキーマとedupersonスキーマの違いを考慮して、ADのスキーマの拡張など検討が必要。

謝辞
本実証試験を進めるにあたり、ご指導を賜りました情報担当副学長、学術情報基盤センターセンター長に深く感謝申しあげます。また、電子ジャーナルの契約について、調査にご協力いた
だきました図書情報企画ユニット津田ひろ子様に深く感謝申し上げます。